北京时间周五上午
，约500个Coldcard硬件钱包因密钥生成环节存在安全漏洞，在25分钟内遭攻击 ，约594枚比特币被盗
，价值约3800万美元。盗窃发生在01：31至01：56之间，攻击者通过500笔交易将1324笔比特币碎片转移 ，随后将其中562枚归集至一个地址
，该地址资金尚未进一步流动 。所有被盗钱包均为单签名钱包，持有量均超过0.15枚比特币 ，大部分钱包长期未使用
，生成时间横跨2021年至2026年，与漏洞存在周期高度吻合
。

　　Coldcard是由加拿大公司Coinkite生产的硬件钱包 ，用于离线存储比特币私钥。此次漏洞涉及Mk2、Mk3 、Mk4
、Q和Mk5等多代产品 。据Block公司比特币工程与安全团队发布的报告
，漏洞根源在于固件构建配置错误，导致设备跳过了自身的硬件随机数生成器 ，转而使用基于芯片序列号和时钟寄存器的弱软件随机数替代方案——这些数据均非秘密，攻击者可轻易获取或推算
。该问题可追溯至2021年3月1日的一次代码提交
，并于当月随固件4.0.0版本发布。

　　受影响程度取决于创建钱包时设备运行的固件版本，而非购买时间 。Coinkite警告称 ，在Mk3设备上运行4.0.1或更高版本固件生成种子的用户存在风险
，并初步确认Mk4、Q和Mk5不受影响
。Block表示已向Coinkite披露调查结果，对方予以确认。两家公司均强调分析尚属初步 ，Block称因攻击已在实施中
，故未完成全面测试即发布报告 。

　　除钱包种子外，同一随机数生成器还影响了Coldcard纸钱包私钥 、种子拆分掩码
、设备克隆密钥及Key Teleport传输功能的安全性
。比特币价格在亚洲早盘交易中维持在64000美元以上 ，此次大规模盗币事件未对市场产生明显冲击。